Cuando impartimos formación, es indispensable saber cuáles son las responsabilidades en materia de protección de datos y quién debe asumirlas. La privacidad en la formación, da igual si es online, o presencial, es un aspecto crítico que a menudo se pasa por alto, o al que no se le da la importancia que deberíamos.
Si una entidad organiza un curso, webinar o similar, se generan responsabilidades sobre el uso de datos personales que no siempre se comunican con transparencia a los alumnos. Y esas responsabilidades se hacen aún más críticas cuando intervienen otras partes: por ejemplo, cuando el curso se imparte a través o con la participación de un tercero. Informar de forma clara y garantizar la legitimidad cuando impartimos formación no es solo un requisito legal: también es una cuestión de confianza y respeto hacia quienes participan en ella.
¿Te dedicas a formar a profesionales? ¿Tienes dudas sobre si estás haciendo las cosas bien? Entonces, este artículo es para ti.
Informar con claridad quién imparte la formación
Uno de los pilares de la privacidad en la formación es la transparencia. Los alumnos deben saber desde el primer momento qué entidad será la responsable de la impartición, en qué plataforma se desarrollará, quién gestionará sus datos, para qué serán utilizados, si intervendrá algún tercero…
Por ejemplo: una entidad X convoca un curso, pero éste se imparte a través de una plataforma online que pertenece a la entidad Y. Esto debe ser comunicado expresamente a los alumnos en el momento de la inscripción, que tienen que saber quién gestionará sus datos, con quién serán compartidos y quién los utilizará, por ejemplo, para la creación de cuentas y el acceso a contenidos.
Mínimos en protección de datos al crear cuentas de usuario
En muchos casos, quien organiza una formación utiliza los datos de los alumnos para crearles cuentas de usuario que permitan el acceso a una plataforma. En otros casos, se facilita directamente los datos de los alumnos a una plataforma externa. Sea cual sea el caso, es indispensable que el usuario haya sido informado y que crea las cuentas sin que el usuario haya sido informado y acepte las condiciones que ello implica.
¿Qué problemas pueden plantearse cuando no gestionamos bien esto? Situaciones como que:
- El alumno desconoce que sus datos se han comunicado a un tercero
- El tercero no cuenta con una base legal para iniciar el tratamiento de datos
- Se asignan usuario y contraseña de forma automática, sin que la persona pueda aceptar previamente los términos de la plataforma, perdiendo control de sus datos
Las buenas prácticas, en estos casos, consistirían en:
- Si va a intervenir un tercero en la impartición de la formación, informarlo a los usuarios antes de que se inscriban
- Habilitar un sistema en el que el propio alumno cree su cuenta y acepte directamente las condiciones de uso, en lugar de crearlo en nombre suyo o comunicar los datos para que un tercero lo haga
Responsabilidad cuando el servicio de formación lo presta un tercero
El hecho de que el curso se imparta a través de otra entidad no libera a la organizadora de su responsabilidad. La privacidad en la formación exige que se regulen correctamente las relaciones entre las partes que intervienen. Aquí es importante detectar ante qué escenario estamos, para cumplir con las obligaciones básicas en materia de privacidad. Por ejemplo:
- Si la entidad X es la responsable y encarga a Y la gestión de la formación, debe existir un contrato de encargo de tratamiento conforme al artículo 28 del RGPD.
- Si X y Y deciden conjuntamente sobre el uso de los datos, deberían firmar un acuerdo de corresponsabilidad y comunicar a los alumnos que existe esa corresponsabilidad.
En cualquier escenario, el alumno debe saber quién trata sus datos, con qué finalidad y bajo qué legitimación.
Casos especiales: servicios a clientes de tus clientes
Si parte de tu actividad consiste en impartir formación, puede que te hayas encontrado con casos en que no la proporcionas directamente a tus clientes, sino a clientes de estos. Es una situación habitual, pero que puede volverse compleja.
En este caso, la protección de datos en la formación obliga a delimitar con claridad:
- Quién es el responsable de los datos de los participantes
- Si la entidad que imparte actúa como encargada o como responsable independiente
- Qué información reciben los alumnos respecto al uso y destino de sus datos
Una definición clara de roles y la documentación adecuada son esenciales para garantizar la legalidad y la seguridad jurídica de todas las partes, y esto es un trabajo previo, pero también continuo, que debe valorarse de forma particular en todas las situaciones, porque nunca hay dos casos iguales.
Buenas prácticas en la impartición de formaciones online
Algunas pautas para garantizar la privacidad y la protección de datos en la formación y cumplir la normativa:
- Transparencia: informar desde la inscripción quién tratará la información, para qué, si intervendrá un tercero, si la formación se desarrollará en una plataforma externa.
- Consentimiento o base legal: evitar la creación automática de cuentas de usuario sin aceptación previa de éste, o sin que tenga suficientemente clara toda la información anterior. Favorecer siempre que sea el usuario quien tenga un buen control sobre sus datos, incluyendo nombres de usuario y contraseñas.
- Contratos adecuados: si vas a colaborar con un tercero (o varios) para impartir una formación, es indispensable detectar en qué posición interviene cada uno y, en su caso, firmar acuerdos de encargo o corresponsabilidad entre entidades.
- Garantía de derechos: asegurar que, con independencia de cuántas entidades participen en la formación o en qué medida lo hagan, los participantes vean garantizados en todo caso los derechos que el RGPD les reconoce y puedan ejercitarlos fácilmente ante cualquiera de las entidades que intervengan en el tratamiento de sus datos.
Apostar por el respeto a la protección de datos en la formación no es solo un requisito normativo, sino un elemento clave para generar confianza. Ser transparente, pedir consentimientos cuando corresponda y regular adecuadamente la relación entre entidades es la mejor forma de demostrar respeto por los alumnos y diferenciarse como organización responsable.
Por supuesto, la inobservancia de lo que te hemos contado puede dar lugar a riesgos considerables, e incluso a sanciones. En el marco de la formación y la enseñanza, la AEPD ha impuesto multas ejemplares: por ejemplo, la sanción a un colegio por crear una cuenta de correo para una menor de edad sin consentimiento ni aplicación de medidas de seguridad, o la multa impuesta a un centro formativo por no atender correctamente un derecho de supresión.
En Dataseg, además de prestar servicios de consultoría y asesoría, también somos formadores en protección de datos para profesionales y empresas. Si quieres saber más sobre nosotros o nuestros servicios, no dudes en escribirnos: estaremos encantados de escuchar tus necesidades.